Cold email et RGPD : ce que tu as le droit de faire en B2B

La premiere objection qu’on entend quand on parle de cold email a un dirigeant IT, c’est : « Mais le RGPD, ce n’est pas interdit, ca ? ». Reponse courte : non. En B2B, en France, tu as le droit de prospecter des professionnels par email sans leur consentement prealable. La loi est meme plutot favorable. Le souci, ce n’est pas la legalite, c’est la maniere. Quelques regles mal comprises peuvent transformer une campagne propre en infraction. On clarifie tout, sans jargon d’avocat.

Cold email B2B en France : c’est legal, point

Contrairement a une idee tres repandue, le RGPD n’interdit pas le cold email. Il l’encadre. Et en B2B, le cadre francais est l’un des plus permissifs d’Europe. La CNIL autorise la prospection commerciale par email vers un professionnel sans son accord prealable, des lors que le message concerne son activite professionnelle.

Concretement : tu peux ecrire au DSI d’une ETI pour lui parler de ta solution d’infogerance, parce que ce sujet entre dans le perimetre de sa fonction. C’est ce qu’on appelle le regime de l’opt-out : le prospect peut s’opposer a tout moment, mais il n’a pas besoin de dire « oui » avant de recevoir ton premier message. C’est l’inverse du B2C, ou le consentement explicite (opt-in) est obligatoire avant le premier envoi.

Cette souplesse n’est pas une zone grise. Elle s’appuie sur la directive ePrivacy transposee en droit francais, qui prevoit une exception claire pour la prospection professionnelle, rappelee dans les regles d’or de la prospection par email de la CNIL. Pour le decryptage technique de l’ensemble, on detaille tout dans notre guide complet du cold email B2B 2026.

La base legale : l’interet legitime, pas le consentement

Pour traiter des donnees personnelles, le RGPD impose d’avoir une base legale. En B2B, celle qui s’applique au cold email est l’interet legitime, prevu a l’article 6.1.f du RGPD. Le considerant 47 du texte le dit explicitement : le traitement de donnees a des fins de prospection directe peut etre considere comme repondant a un interet legitime.

En clair : ton interet commercial a proposer tes services prime, a condition de ne pas porter une atteinte disproportionnee a la vie privee du prospect. Pour t’assurer que tu es dans les clous, applique le test en trois etapes que les autorites europeennes utilisent :

• Le test de finalite : ton objectif est-il legitime ? Vendre un service pertinent a un decideur, oui.
• Le test de necessite : l’email est-il un moyen raisonnable d’atteindre cet objectif ? Oui, c’est un canal proportionne.
• Le test de mise en balance : les droits du prospect l’emportent-ils sur ton interet ? Si tu cibles sa fonction pro et que tu offres une sortie facile, non.

Si tes trois reponses tiennent, tu es fonde a envoyer. Garde une trace ecrite de ce raisonnement : c’est ce qu’on appelle l’analyse d’interet legitime, et c’est ta meilleure assurance en cas de controle.

Les 3 conditions de la CNIL a respecter

La CNIL pose des conditions precises pour que ta prospection B2B soit conforme. Retiens-les, ce sont elles qui font la difference entre une campagne propre et une faute.

1. L’objet du message doit etre lie a la fonction de la personne. Tu vends un outil de QA ? Ecris au directeur technique, pas a la responsable des achats generaux. Si le sujet ne concerne pas le poste du destinataire, l’exception B2B ne joue plus.
2. La personne doit pouvoir s’opposer simplement et a tout moment. Un lien de desinscription clair dans chaque email, fonctionnel, idealement en un clic.
3. Les donnees doivent avoir ete collectees loyalement. Sources publiques (LinkedIn, site de l’entreprise) ou fichiers d’un fournisseur qui te garantit contractuellement une collecte reguliere. Tu n’aspires pas n’importe quoi n’importe ou.

Petit point qui rassure : les adresses generiques (contact@, info@, commande@) qui representent une personne morale sortent du champ de ces principes. Mais elles convertissent mal. Tu vas cibler des adresses nominatives de decideurs, donc applique les trois conditions par defaut.

Les mentions obligatoires dans chaque email

La transparence n’est pas une option. Chaque email de prospection doit permettre au destinataire de savoir qui tu es et comment se desinscrire. Voici ce qui doit figurer, generalement en pied de message :

• L’identite de l’expediteur : ton nom, ta societe, une adresse de contact reelle.
• La finalite : tu fais de la prospection commerciale, dis-le clairement.
• Le droit d’opposition : un lien de desinscription visible et fonctionnel.
• Un lien vers ta politique de confidentialite, qui explique d’ou viennent les donnees et quels sont les droits du prospect (article 14 du RGPD).

Attention a un piege technique : en cold email, on segmente souvent l’envoi sur plusieurs boites pour proteger la delivrabilite. Chaque boite doit etre correctement parametree (SPF, DKIM, DMARC) et porter ces mentions. On explique pourquoi c’est aussi un sujet de conformite autant que de deliverabilite dans notre article sur la delivrabilite, SPF, DKIM et DMARC.

L’opt-out : la regle qui te protege vraiment

Si tu ne devais retenir qu’un seul reflexe, c’est celui-la. Le droit d’opposition (article 21 du RGPD) est gratuit, sans justification, et tu dois le traiter vite. Le texte parle d’un delai maximum de 30 jours, mais la norme de fait en cold email est plus stricte : tu dois suppression le contact avant ton prochain envoi.

Un opt-out mal gere est l’un des manquements les plus frequemment epingles par les autorites de controle, meme quand l’envoi initial etait parfaitement legal. La parade est simple : une liste d’exclusion automatisee et synchronisee avec ton outil d’envoi. Un prospect dit non, il sort de toutes tes sequences, immediatement et definitivement.

C’est exactement le genre de cablage qu’on installe avec n8n et le CRM Airtable chez nos clients : la desinscription remonte en temps reel, sans intervention humaine, sans risque d’oubli.

Combien de temps garder les donnees prospects

Tu ne peux pas conserver une base de prospects indefiniment. La CNIL recommande une regle simple : 3 ans a compter du dernier contact avec un prospect non converti. Au-dela, sans interaction (ouverture, clic, reponse), la donnee doit etre supprimee ou anonymisee.

Les desinscriptions, elles, se conservent aussi 3 ans minimum, mais dans un but precis : prouver que tu respectes l’opposition de la personne et ne pas la recontacter par erreur. Purge regulierement ta base. Une base propre, c’est meilleur pour la conformite et pour tes taux de delivrabilite.

Les erreurs qui peuvent te couter cher

Le RGPD n’est pas un epouvantail, mais les sanctions existent. Pour les manquements les plus graves, l’amende peut atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial, le montant le plus eleve etant retenu (article 83 du RGPD). En pratique, une PME qui prospecte proprement ne risque pas ce plafond, mais une plainte d’un prospect agace peut declencher un controle. Les fautes les plus courantes :

• Ignorer un opt-out. Le prospect se desinscrit, tu le relances : faute directe et facile a prouver.
• Cibler hors fonction. Envoyer un message sans rapport avec le poste du destinataire fait tomber l’exception B2B.
• Pas de mentions ni de lien de desinscription. Absence de transparence, manquement clair.
• Acheter une base douteuse. Si tu ne peux pas prouver une collecte reguliere, tu es responsable.
• Confondre B2B et B2C. Prospecter une adresse personnelle (gmail perso d’un freelance) sans consentement, par exemple.

La bonne nouvelle : eviter ces cinq pieges suffit a securiser l’essentiel. Et si tout est correctement parametre des le depart, tu n’y penses plus.

La checklist conformite avant d’envoyer

Avant de lancer une campagne, passe ce filtre rapide. Si tu coches tout, tu peux envoyer l’esprit tranquille.

• Mes cibles sont des professionnels, contactes sur un sujet lie a leur fonction.
• Mes donnees viennent de sources publiques ou d’un fournisseur fiable.
• Chaque email contient identite, finalite, lien de desinscription et politique de confidentialite.
• Mon lien de desinscription fonctionne et alimente une liste d’exclusion automatisee.
• Mes boites d’envoi sont authentifiees (SPF, DKIM, DMARC) et passees au warm-up.
• Je purge ma base apres 3 ans d’inactivite.

Le warm-up et l’authentification ne sont pas que des sujets de delivrabilite : une boite mal configuree finit en spam et abime ta reputation. On detaille la marche a suivre dans notre guide sur le warm-up de boite mail.

Cas client : KLH-Competence, conformite et volume sur des grands comptes

KLH-Competence, cabinet de conseil IT, voulait toucher des decideurs dans des entreprises de plus de 500 employes. Un terrain ou la moindre approche maladroite se voit, et ou les destinataires sont sensibles a la conformite. La cible etait pile dans le perimetre : des messages lies a la fonction de DSI et de responsables IT, donc parfaitement legitimes au sens de la CNIL.

On a installe le systeme complet : sourcing propre des decideurs, sequences personnalisees, boites authentifiees et chauffees, et surtout une gestion automatisee des desinscriptions pour rester impeccable sur l’opt-out. Resultat : plus de 10 RDV qualifies par mois sur des cibles de 500+ employes, sans une seule reclamation. La conformite n’a pas freine le volume, elle l’a rendu durable. Le detail de la mecanique est ici : cas KLH-Competence.

FAQ : l’essentiel en 4 questions

Le cold email est-il interdit par le RGPD ?

Non. En B2B, en France, la prospection par email est legale sans consentement prealable, des lors que le message concerne la fonction du destinataire et qu’un moyen de se desinscrire est propose. Le RGPD encadre la pratique, il ne l’interdit pas.

Faut-il le consentement du prospect avant un premier email B2B ?

Non, contrairement au B2C. La base legale est l’interet legitime (article 6.1.f). Le prospect peut s’opposer a tout moment, mais tu n’as pas besoin de son accord avant le premier envoi.

Que dois-je obligatoirement mettre dans un cold email ?

Ton identite, la finalite (prospection commerciale), un lien de desinscription clair et fonctionnel, et un lien vers ta politique de confidentialite. Ces mentions figurent generalement en pied d’email.

Combien de temps puis-je garder les coordonnees d’un prospect ?

La CNIL recommande 3 ans a compter du dernier contact pour un prospect non converti. Sans interaction passe ce delai, la donnee doit etre supprimee ou anonymisee. Les desinscriptions se conservent pour ne plus recontacter la personne.

Tu veux qu’on installe ce systeme chez toi ?

La conformite RGPD n’est pas un frein a la prospection, c’est un cadre qui la rend solide. Mais entre le sourcing propre, l’authentification des boites, la gestion automatisee des opt-out et la purge des donnees, ca fait beaucoup de plomberie a maitriser. C’est exactement ce qu’on prend en charge pour toi. Si tu veux externaliser ta prospection commerciale avec un systeme conforme, performant et qui te ramene des RDV qualifies, reserve une consultation et on regarde ensemble ce qu’on peut installer.